Ansøgning om tilladelse til at DK-Exchange ApS kan udbyde valutavekslingsvirksomhed

Transkript

1 Til direktionen i DK-Exchange ApS 17. september 2018 Ansøgning om tilladelse til at DK-Exchange ApS kan udbyde valutavekslingsvirksomhed 1. Finanstilsynets afgørelse Finanstilsynet giver hermed afslag på tilladelse til valutavekslingsvirksomhed til DK-Exchange ApS (herefter DK-Exchange/virksomheden), jf. 41, nr. 2, jf. 45, stk. 1, nr. 1, og 41, nr. 4 i lov om forebyggende foranstaltninger mod hvidvask og finansiering af terrorisme (herefter hvidvaskloven). DK-Exchange skal fra den 17. september 2018 ophøre med at drive valutavekslingsvirksomhed. FINANSTILSYNET Århusgade København Ø Tlf Fax CVR-nr finanstilsynet@ftnet.dk ERHVERVSMINISTERIET 2. Sagsfremstilling DK-Exchange blev stiftet i 2012 og har siden da været registreret som vekselkontor i Erhvervsstyrelsens Register til bekæmpelse af hvidvask. Erhvervsstyrelsen var den 9. marts 2015 på kontrolbesøg hos virksomheden. Dette resulterede i fire påbud, som blev meddelt virksomheden den 27. april Der blev bl.a. givet påbud for mangler konstateret vedrørende virksomhedens undersøgelsespligt, noteringspligt og underretningspligt. Virksomheden fik således påbud om at notere og opbevare resultatet af undersøgelser foretaget ved større vekslinger, foretage underretning til Hvidvasksekretariatet om mistænkelige transaktioner og legitimere fysiske kunder. Erhvervsstyrelsen politianmeldte på den baggrund virksomheden. Finanstilsynet modtog den 19. september 2017 ansøgning om tilladelse til at udbyde valutavekslingsvirksomhed i henhold til 41 i hvidvaskloven fra DK- Exchange. Ansøgningen indeholdt bl.a. en hvidvaskforretningsgang, et budget og et udfyldt fit & proper-skema med CV og straffeattest for ledelsen. Virksomheden repræsenteres af [udeladt]. Finanstilsynet gennemgik materialet og anmodede i brev af 5. december 2017 virksomheden om yderligere materiale. Finanstilsynet vurderede, at det indsendte materiale ikke opfyldte kravene i hvidvasklovens 42, der omhandler de oplysninger, som en ansøgning om tilladelse til valutavekslingsvirksomhed som minimum skal indeholde. Finanstilsynet konstaterede bl.a., at virksomheden ikke havde:

2 2 - indsendt en tilstrækkelig beskrivelse af virksomhedens forretningsmodel, jf. 42, nr. 3, - indsendt tilstrækkeligt budgetmateriale, jf. 42, nr. 4, - indsendt en risikovurdering af virksomhedens aktiviteter, jf. hvidvasklovens 42, nr. 7, litra a og b, 7, stk. 1, og - indsendt en fyldestgørende IT-sikkerhedspolitik og hvidvaskforretningsgang, jf. 42, nr. 7, litra a og b. Både IT-sikkerhedspolitikken og hvidvaskforretningsgangen var begge generelle og ikke udarbejdet med udgangspunkt i ansøgervirksomheden, jf. 8 i hvidvaskloven og bemærkningerne hertil. Hvidvaskforretningsgangen omhandlede ikke alle de områder, som var påkrævet efter 8, stk. 1, og var desuden ikke opdateret til gældende lovgivning. Endvidere anmodede Finanstilsynet med henblik på at vurdere, om virksomheden opfyldte betingelserne i hvidvasklovens 41 for at få tilladelse til valutavekslingsvirksomhed DK-Exchange om at redegøre for, hvorledes virksomheden har sikret sig, at den har rettet op på de påbud, som Erhvervsstyrelsen havde givet på baggrund af kontrolbesøget hos virksomheden den 12. marts Finanstilsynet modtog den 14. december 2017 revideret materiale fra virksomheden. Efter en gennemgang af det reviderede ansøgningsmateriale kunne Finanstilsynet konstatere, at den fremsendte beskrivelse af virksomhedens forretningsmodel, virksomhedens risikovurdering, IT-sikkerhedspolitik og hvidvaskforretningsgang fortsat ikke levede op til kravene i hvidvaskloven. Det indsendte materiale var fortsat ikke udarbejdet til virksomheden og tog bl.a. ikke udgangspunkt i virksomhedens risikovurdering og forretningsmodel. Derudover var hvidvaskforretningsgangen stadig ikke opdateret til gældende lovgivning. Endvidere manglede DK-Exchange stadig at redegøre for, hvorledes virksomheden har efterlevet de påbud, som Erhvervsstyrelsen havde givet på baggrund af kontrolbesøget hos virksomheden den 12. marts Finanstilsynet anmodede derfor på ny den 9. marts 2018 virksomheden om at indsende yderligere materiale, som opfyldte betingelserne i hvidvasklovens 41 og 42. Den 20. marts 2018 modtog Finanstilsynet yderligere materiale fra virksomheden. Dette materiale lægges til grund for nærværende afgørelse. [udeladt]

3 3 3. Det retlige grundlag Hvidvaskloven fastsætter i 1, stk. 1, nr. 19, at udbydere af valutavekslingsvirksomhed er omfattet af hvidvaskloven. Det følger af 40 i hvidvaskloven, at valutavekslingsvirksomhed kun må udøves her i landet af virksomheder, der har tilladelse som valutavekslingsvirksomhed, eller af pengeinstitutter, Danmarks Nationalbank og offentlige myndigheder. Finanstilsynet kan give tilladelse til valutavekslingsvirksomhed, når virksomheden opfylder betingelserne oplistet i 41 i hvidvaskloven. Ansøgningsmateriale Det følger af 41, stk. 1, nr. 4, at virksomheden på alle væsentlige områder skal have tilstrækkelige kontrolforanstaltninger og forretningsgange, deriblandt om forebyggelse af hvidvask og terrorfinansiering, jf. 8, stk. 1. Det fremgår af bemærkninger 1 til bestemmelsen, at valutavekslingsvirksomheden for at opfylde kravene til at få en tilladelse i medfør af 41, stk. 1, nr. 4, skal udarbejde skriftlige politikker, procedurer og kontroller, som skal omfatte risikostyring, kundekendskabsprocedurer, undersøgelses-, noteringsog underretningspligt, opbevaring af oplysninger, screening af medarbejdere og interne kontrolprocedurer. Endvidere fremgår det samme sted, at valutavekslingsvirksomhedens politikker, procedurer og kontroller skal udarbejdes med udgangspunkt i den risikovurdering, som virksomheden skal udarbejde i henhold til 7, stk. 1. Det fremgår af hvidvasklovens 42, at en ansøgning om tilladelse til valutavekslingsvirksomhed skal indeholde de oplysninger, der er nødvendige til brug for Finanstilsynets vurdering af, om betingelserne i 41 er opfyldt. Dette omfatter bl.a. en beskrivelse af virksomhedens forretningsmodel, oplysninger om medlemmer af virksomhedens ledelse, der dokumenterer, at egnetheds- og hæderlighedskravene i henhold til 45 er opfyldt, samt oplysninger om virksomhedens forretningsgange og interne kontrolmekanismer, herunder administrative, risikostyringsmæssige og regnskabsmæssige procedurer, omfattende, men ikke begrænset til: a) Virksomhedens it-sikkerhedspolitik, herunder en detaljeret risikovurdering af de planlagte aktiviteter, og en beskrivelse af de forebyggende foranstaltninger, som virksomheden har foretaget for at imødegå de identificerede risici, herunder svig og misbrug af følsomme personoplysninger. 1 Lovforslag nr. 41/2016

4 4 b) Virksomhedens forretningsgang for forebyggelse af hvidvask og finansiering af terrorisme, herunder en detaljeret risikovurdering af de planlagte aktiviteter, og de forebyggende foranstaltninger, som virksomheden vil foretage for at imødegå de identificerede risici. Det følger af hvidvasklovens 7, stk. 1, at virksomheder omfattet af loven skal udarbejde en risikovurdering af virksomheden, der identificerer og vurderer den iboende risiko for, at virksomheden kan blive brugt til hvidvask og finansiering af terrorisme, uden at der tages højde for de foranstaltninger, virksomheden har foretaget for at begrænse denne risiko. Herunder bør der være en vurdering af, hvilke af virksomhedens aktiviteter der er mest risikofyldte, og hvor risikoen for misbrug af hvidvask og terrorfinansiering vurderes at være størst. Risikovurderingen skal tage udgangspunkt i virksomhedens forretningsmodel og omfatte en vurdering af de risikofaktorer, der er forbundet med kunder, produkter, tjenesteydelser og transaktioner samt leveringskanaler og lande eller geografiske områder, hvor forretningsaktiviteterne udøves. Risikovurderingen skal danne grundlag for, at virksomheden kan vurdere, hvilke forretningsområder der skal prioriteres i bekæmpelsen af hvidvask og finansiering af terrorisme, samt hvilke operationelle procedurer der skal iværksættes i de enkelte forretningsområder. Det følger af hvidvasklovens 8, stk. 1, at virksomheder og personer omfattet af denne lov skal have tilstrækkelige skriftlige politikker, procedurer og kontroller, som skal omfatte risikostyring, kundekendskabsprocedurer, undersøgelses-, noterings- og underretningspligt, opbevaring af oplysninger, screening af medarbejdere og intern kontrol til effektiv forebyggelse, begrænsning og styring af risici for hvidvask og finansiering af terrorisme. Politikker, kontroller og procedurer skal udarbejdes med udgangspunkt i risikovurderingen foretaget efter 7 under hensyntagen til virksomhedens størrelse. Det fremgår af bemærkninger til hvidvasklovens 8, stk. 1, at de skriftlige politikker, procedurer og kontroller skal tage udgangspunkt i virksomhedens risikovurdering, dvs. i virksomhedens egne forhold, herunder risikoanalysen af virksomhedens forretningsmodel, kundetyper og produkter m.v. og på en klar og tydelig måde beskrive, hvordan netop denne virksomhed skal overholde reglerne. En procedure skal indeholde en beskrivelse af forretningsområdet, dets ansvarsplacering, herunder hvem der er ansvarlig for udførelse af de enkelte opgaver, og hvorledes disse skal udføres. Procedurer skal være lettilgængelige og overskuelige for de ansatte.

5 5 Krav til egnethed og hæderlighed Det følger af 41, stk. 1, nr. 2, i hvidvaskloven, at Finanstilsynet kan give tilladelse til valutavekslingsvirksomhed, hvis medlemmerne af virksomhedens bestyrelse og direktion, opfylder kravene i 45. Drives valutavekslingsvirksomheden som en enkeltmandsvirksomhed, gælder kravene i forhold til indehaveren. Drives virksomheden som juridisk person uden bestyrelse og direktion vil kravene gælde for den eller de personer i virksomheden, som er ledelsesansvarlige. Det følger af 45, stk. 1, nr. 1, i hvidvaskloven, at et ledelsesmedlem i en valutavekslingsvirksomhed skal have tilstrækkelig viden, faglig kompetence og erfaring til at kunne varetage hvervet eller stillingen. Af bemærkningerne 2 til 45, stk. 1, nr. 1, fremgår det, at kravene skal være opfyldt til enhver tid. Det indebærer, at kravene skal være opfyldt fra det tidspunkt, hvor ledelsesmedlemmet tiltræder hvervet eller stillingen, og i hele den periode, hvori den pågældende varetager hvervet eller stillingen. Hvor valutavekslingsvirksomheden udøves af en enkeltmandsvirksomhed, gælder kravene fra det tidspunkt, hvor indehaveren søger om tilladelse til at udøve valutavekslingsvirksomhed, og så længe virksomheden udøves. Det følger videre af bemærkningerne, at der opstilles ikke generelle kriterier for, hvilke teoretiske eller praktiske krav personen skal opfylde. Disse varierer afhængigt af, om der er tale om en direktørpost eller et bestyrelseshverv, og hvilken type virksomhed der er tale om. I vurderingen kan bl.a. indgå, om personen har en relevant uddannelse, og om vedkommende har ledelseserfaring. Der stilles i praksis mindre krav til et bestyrelsesmedlem end til en direktør, ligesom kravene skærpes, hvis der er tale om en stor og kompleks valutavekslingsvirksomhed. Endvidere fremgår det af bemærkningerne, at egnetheds- og hæderlighedsvurderingen er knyttet til stillingen eller hvervet i den konkrete valutavekslingsvirksomhed. Det er således muligt, at en person på baggrund af dennes uddannelsesmæssige baggrund og hidtidige ledelseserfaring opfylder kravet om fyldestgørende erfaring til at lede en valutavekslingsvirksomhed med begrænset forretningsmæssigt omfang, men at det ikke gør sig gældende i forhold til en større valutavekslingsvirksomhed. Derfor kan man ikke overføre egnetheds- og hæderlighedsvurderingen fra den ene valutavekslingsvirksomhed til den anden valutavekslingsvirksomhed. Derudover fremgår det samme sted, at en indehaver af en valutavekslingsvirksomhed, der er en enkeltmandsvirksomhed, skal på tilsvarende vis som direktører og bestyrelsesmedlemmer have tilstrækkelig viden, faglig kompe /1 BTL 41 (Lovforslag nr. 41/2016)

6 6 tence og erfaring til at kunne varetage hvervet som indehaver af valutavekslingsvirksomhed. Ved vurderingen af indehaverens viden, faglige kompetencer og erfaring vil der blive lagt vægt på, om vedkommende har de fornødne kompetencer og ressourcer til at løfte opgaven som udøver af valutavekslingsvirksomheden. Overgangsordning Virksomheder, der udøver valutavekslingsvirksomhed, og som inden den 26. juni 2017 var registreret i Erhvervsstyrelsens Register til bekæmpelse af hvidvask, kan fortsætte deres virksomhed her i landet uden tilladelse, jf. 81, stk. 4, i hvidvaskloven. Undtagelsesbestemmelsen er betinget af, at Finanstilsynet har modtaget ansøgning om tilladelse i henhold til 42 senest den 31. december Virksomhederne kan fortsætte deres virksomhed her i landet uden tilladelse, indtil Finanstilsynet har truffet afgørelse om ansøgningen. 4. Høringssvar Finanstilsynet sendte den 11. juli 2018 udkast til afgørelser i høring hos DK- Exchange med frist til at afgive høringssvar til den 30. juli DK-Exchange anmodede den 12. juli 2018 ved advokat Thomas Grue Baruch om udsættelse af fristen for at afgive høringssvar. Finanstilsynet meddelte en udsættelse af fristen til den 6. august DK-Exchange ved advokat Sigurd Slot Jacobsen meddelte i en mail af 6. august 2018 til Finanstilsynet, at DK-Exchange ApS ikke er enige i udkastet til afgørelse og har bemærkninger hertil, herunder faktuelle bemærkninger, men det har ikke været muligt at fremkomme med bemærkningerne inden for fristens udløb. Samtidig oplyses i mailen, at bemærkningerne vil blive indgivet hurtigst muligt og inden bestyrelsesmødet i Finanstilsynet den 30. august Finanstilsynet meddelte herefter DK-Exchange ved advokat Sigurd Slot Jacobsen, at såfremt høringssvaret ikke var Finanstilsynet i hænde inden kl den 7. august 2018, ville Finanstilsynet træffe afgørelse på det foreliggende grundlag. Der er ikke fremkommet yderligere bemærkninger ved fristens udløb. Efter høringsfristens udløb har virksomheden ved [udeladt] den 30. august 2018 afgivet et høringssvar til Finanstilsynets udkast til afgørelse. Høringssvaret består af følgebrev, en opdateret risikovurdering, forretningsgang og beskrivelse af forretningsmodel, en ny IT-sikkerhedspolitik samt et nyt budget for virksomheden for perioden

7 7 Det anføres i følgebrevet, at virksomheden på baggrund af den tidligere revisors opdateringer var af den opfattelse, at ansøgningsprocessen gik som det skulle. Virksomheden blev derfor overrasket over, at det ikke var tilfældet. Virksomheden anfører videre, at den finder, at den har fået en meget kort frist i form af 10 dage til at rette fejlene i materialet, at grundet ferieperioden var det svært at få fat i revisor, advokat mv. til at hjælpe, samt at Finanstilsynet nægtede udsættelse. I følgebrevet redegøres endvidere for, hvorledes virksomheden har fulgt op på Erhvervsstyrelsens påbud. 5. Finanstilsynets vurdering 5.1. Vurdering af virksomhedens kontrolforanstaltninger og forretningsgange, deriblandt om forebyggelse af hvidvask og terrorfinansiering Finanstilsynet kan give tilladelse til valutavekslingsvirksomhed, når virksomheden opfylder hvidvasklovens betingelser herfor. Finanstilsynet har ved vurderingen af det indsendte materiale af 20. marts 2018 konstateret en række mangler i ansøgningsmaterialet, hvor de væsentligste behandles nedenfor Risikovurderingen Det følger af hvidvasklovens 7, stk. 1, at virksomheder omfattet af loven skal udarbejde en risikovurdering af virksomheden, der identificerer og vurderer den iboende risiko for, at virksomheden kan blive brugt til hvidvask og finansiering af terrorisme. Den fremsendte risikovurdering er sammensat af to dele. Den første del beskriver forhold vedrørende kunder, produkter mv., leveringskanaler samt lande og geografiske områder. Derudover er oplistet mistænkelige forhold, som virksomheden skal være opmærksom på. Den første del indeholder afsnit, som ikke hører hjemme i en risikovurdering af virksomheden. Den anden del af risikovurderingen ses at være et afsnit kopieret fra den nationale risikovurdering fra 2015 om bl.a. vekselkontorer og pengeoverførselsvirksomheder. Risikovurderingen tager ikke udgangspunkt i virksomhedens forretningsmodel og omfatter ikke en vurdering af de risikofaktorer, der er forbundet med virksomhedens kunder, produkter, tjenesteydelser og transaktioner samt leveringskanaler og lande eller geografiske områder, hvor forretningsaktiviteterne udøves.

8 8 Finanstilsynet kan konstatere, at risikovurderingen ikke indeholder en beskrivelse af virksomhedens iboende risiko. Den iboende risiko er virksomhedens medfødte risiko som følge af den valgte forretningsmodel (produktudbud, kundetyper, geografiske områder mv.) uden, at der tages højde for de foranstaltninger, virksomheden har implementeret for at begrænse denne risiko. Risikovurderingen ses heller ikke at indeholde en vurdering af, hvilke af virksomhedens aktiviteter der er mest risikofyldte, og hvor risikoen for misbrug til hvidvask og terrorfinansiering vurderes at være størst. Det er Finanstilsynets vurdering, at risikovurderingen ikke er af en sådan karakter og kvalitet, at virksomheden kan tage udgangspunkt i den, når virksomheden skal tilrettelægge sine interne kontroller og procedurer. Den opfylder derfor ikke kravene i hvidvasklovens 7, stk Skriftlige politikker, procedurer og kontroller Finanstilsynet har modtaget tre udgaver af virksomhedens hvidvaskforretningsgang og IT-sikkerhedspolitik. Ingen af de tre udgaver ses at være udarbejdet med udgangspunkt i virksomhedens risikovurdering, jf. bemærkningerne til hvidvasklovens 8, stk. 1, ovenfor under pkt Virksomheden har senest indsendt en ny hvidvaskforretningsgang den 20. marts Denne hvidvaskforretningsgang er bl.a. mangelfuld på følgende områder: Kundekendskabsprocedurer, herunder politisk eksponerede personer Undersøgelsespligten Underretningspligten Opbevaringspligten Interne kontroller Der henvises nærmere til afsnit nedenfor vedrørende de enkelte områder Generelt om hvidvaskforretningsgangen Virksomhedens procedurer/forretningsgange skal som nævnt tage udgangspunkt i virksomhedens risikovurdering og dermed dens egne forhold. Det er ikke tilstrækkeligt blot at indarbejde en afskrift af hvidvaskloven eller Finanstilsynets vejledning, som ikke giver medarbejderen tilstrækkelig information/instruktion om, hvordan reglerne skal administreres netop i denne virksomhed. Derudover skal en forretningsgang beskrive, hvilke krav som

9 9 skal overholdes, samt hvad medarbejderen skal gøre for at sikre, at det efterleves. Sluttelig skal det kunne dokumenteres ved løbende kontroller, at alle dele af forretningsgangen følges. Det er Finanstilsynets vurdering, at forretningsgangen ikke tager udgangspunkt i den konkrete virksomhed og dens forhold. Forretningsgangen er endvidere ikke opdateret til gældende lovgivning (eksempelvis s ). Derudover ses forretningsgangen ikke at udgøre et brugbart dokument for virksomhedens ansatte til at forstå, hvilke forpligtelser virksomheden har i henhold til hvidvaskloven, og hvordan medarbejderne skal påse, at disse efterleves, idet forretningsgangen er formuleret meget generelt og uden at angive konkrete aktiviteter, som medarbejderne skal udføre. Dette kommer bl.a. til udtryk i afsnittet om interne kontroller. Derudover indeholder det udarbejdede tjekskema ikke alle de områder, som skal iagttages. Eksempelvis refererer tjekskemaet ikke til de skærpede procedurer, som skal iagttages for højrisiko kunder Kundekendskabsprocedurer Hvidvasklovens indeholder en række nærmere angivne krav til en virksomheds kundekendskabsprocedurer. Forretningsgangen ses ikke at opfylde hvidvasklovens krav omkring gennemførelsen af kundekendskabsprocedurer. Det fremgår af forretningsgangen, at virksomheden anvender en risikobaseret tilgang i dens kundekendskabsprocedurer. Det fremgår dog ikke klart, hvilke typer af kunder virksomheden udfører skærpet kundekendskabsprocedure på, og hvordan virksomhedens skærpede kundekendskabsprocedurer adskiller sig fra de almindelige kundekendskabsprocedurer, jf. kravene i hvidvasklovens 17, stk. 1. Virksomheden skal ifølge forretningsgangen indhente tilstrækkelig legitimation hos kunderne, men det fremgår ikke, i hvilke tilfælde virksomheden vurderer, at der er behov for at indhente oplysninger om forretningsforbindelsens formål og tilsigtede beskaffenhed, jf. 11, stk. 1, nr. 4, i hvidvaskloven. Det fremgår af forretningsgangen, at virksomheden ikke veksler valuta for personer, der veksler for andre (tredjepart) samt mindreårige. Forretningsgangen beskriver dog ikke, hvordan virksomheden sikrer, at kunden ikke handler på andres vegne eller ikke er mindreårig. Det følger af hvidvasklovens 18, stk. 1, at virksomheder og personer omfattet af denne lov skal have procedurer til at afgøre, om kunden, kundens reelle ejer, den begunstigede i henhold til en livsforsikringspolice, eller den

10 10 begunstigedes reelle ejer, er en politisk eksponeret person, jf. 2, nr. 8. Endvidere skal der være procedurer til at afgøre om kunden er en nærtstående eller nær samarbejdspartner til en politisk eksponeret person, jf. 2, nr. 6 og 7. Forretningsgangen indeholder afsnittet Politisk eksponeret person bosiddende i et andet land. Definitionen af en politisk eksponeret person er ikke efter hvidvaskloven begrænset til at være personer bosiddende udenfor Danmark. Der skal udføres skærpet kundekendskabsprocedure også på politisk eksponerede personer bosiddende i Danmark. Finanstilsynet har på sin hjemmeside offentliggjort en liste over de danske personer, der vurderes at være politisk eksponeret. Af forretningsgangen fremgår det bl.a. ikke, hvordan virksomheden kontrollerer, om en kunde er politisk eksponeret. Derudover fremgår det ikke, hvilke yderligere oplysninger virksomheden indhenter hos kunder, der er politisk eksponerede, i forbindelse med den skærpede kundekendskabsprocedure på den pågældende kunde. Det fremgår heller ikke af forretningsgangen, at det er den hvidvaskansvarlige, der skal godkende forretningsforbindelser med politisk eksponerede personer, jf. 18, stk. 2 og 3, i hvidvaskloven. Finanstilsynet vurderer, at ovenstående ikke er tilstrækkeligt til at opfylde kravene om kundekendskabsprocedurer i medfør af i hvidvaskloven, ligesom det ikke er beskrevet tilstrækkeligt i forretningsgangen, jf. 8, stk Undersøgelsespligt Det følger af hvidvasklovens 25, stk. 1, at virksomheden har en pligt til at undersøge en transaktion nærmere, hvis den observerer noget mistænkeligt hos en kunde. Undersøgelsen skal være med til at be- eller afkræfte mistanken og dermed, om det skal føre til en underretning af Statsadvokaten for Særlig Økonomisk og International Kriminalitet, jf. 26, stk. 1. Mistanken kan blandt andet opstå på baggrund af kundens adfærd, en konkret veksling eller et mønster af vekslinger. Virksomheden skal være opmærksom på, at der kan være stor forskel på kundens adfærd eller transaktionsmønster alt efter, om der er tale om hvidvask eller terrorfinansiering. Forretningsgangen indeholder afsnittet Opmærksomheds- og undersøgelsespligt, men afsnittet indeholder ikke en beskrivelse af, hvornår virksomheden vurderer, at der er tale om en usædvanlig transaktion, samt hvordan virksomheden undersøger mistænkelige forhold.

11 11 Finanstilsynet vurderer, at dette ikke er tilstrækkeligt til at opfylde kravet om undersøgelsespligt, som virksomheden har i medfør af 25, stk. 1, i hvidvaskloven, ligesom det ikke er beskrevet tilstrækkeligt i forretningsgangen, jf. 8, stk Underretningspligt Det følger af hvidvasklovens 26, stk. 1, at virksomheder og personer omgående skal underrette Statsadvokaten for Særlig Økonomisk og International Kriminalitet, hvis virksomheden eller personen er vidende om, har mistanke om eller rimelig grund til at formode, at en transaktion, midler eller en aktivitet har eller har haft tilknytning til hvidvask eller finansiering af terrorisme. Det samme gælder ved mistanke, der er opstået i forbindelse med kundens forsøg på at foretage en transaktion eller en henvendelse fra en mulig kunde med ønske om gennemførelse af en transaktion eller aktivitet. Forretningsgangen skal indeholde en beskrivelse af, hvordan underretningspligten iagttages. Under afsnittet Underretning til SØIK i forretningsgangen fremgår det, at virksomheden altid finder det mistænkeligt, hvis en kunde veksler over DKK. Finanstilsynet skal bemærke hertil, at en veksling under DKK også kan være mistænkelig, ligesom en veksling over DKK ikke nødvendigvis er mistænkelig. Hvis virksomheden finder et konkret forhold mistænkeligt, uanset vekslingens størrelse, skal virksomheden foretage en undersøgelse med henblik på at be- eller afkræfte mistanken. Hvis en undersøgelse ikke kan afkræfte en mistanke, skal der omgående ske underretning til SØIK. På dette punkt skelner virksomhedens forretningsgang heller ikke mellem mistanken om hvidvask og mistanken om terrorfinansiering. Finanstilsynet gør opmærksom på, at virksomheden i sine underretninger til SØIK skal skelne mellem underretninger, der vedrører hvidvask, jf. 26, stk. 3, og underretninger, der vedrører terrorfinansiering, jf. 26, stk. 4, i hvidvaskloven. Finanstilsynet vurderer, at dette ikke er tilstrækkeligt til at opfylde underretningspligten, som virksomheden har i medfør af 26, stk. 1-4, i hvidvaskloven, ligesom det ikke er beskrevet tilstrækkeligt i forretningsgangen, jf. 8, stk Opbevaringspligten Det følger af hvidvasklovens 30, at virksomheder skal opbevare en række nærmere angivne oplysninger i mindst 5 år efter forretningsforbindelsens ophør eller den enkeltstående transaktions gennemførelse.

12 12 Det fremgår af virksomhedens forretningsgang, at virksomheden opbevarer dokumenter og registreringer vedrørende transaktioner samt notater om resultatet af undersøgelser af særlige transaktioner i mindst 5 år efter transaktionens gennemførelse. Forretningsgangen forholder sig dog ikke til, hvor længe oplysninger vedrørende forretningsforbindelser skal opbevares. I forhold til forretningsforbindelser skal registreringer og dokumentation af transaktioner og undersøgelser opbevares i mindst 5 år efter forretningsforbindelses ophør. Det er Finanstilsynets vurdering, at opbevaringspligten gælder både ved enkeltstående transaktioner og forretningsforbindelser, hvorfor det er Finanstilsynets vurdering, at forretningsgangen på dette punkt ikke i overensstemmelse med hvidvaskloven, jf. 30, stk. 2, ligesom det ikke er beskrevet tilstrækkeligt i forretningsgangen, jf. 8, stk Interne kontroller Det følger af hvidvasklovens 8, stk. 1, at virksomheder og personer omfattet af denne lov skal have tilstrækkelige skriftlige politikker, procedurer og kontroller, som bl.a. skal omfatte intern kontrol til effektiv forebyggelse, begrænsning og styring af risici for hvidvask og finansiering af terrorisme. Af bemærkninger til bestemmelsen fremgår det bl.a., at kravet om kontrol indebærer, at virksomheden skal foretage kontrol af, om virksomheden overholder lovens krav, Derudover fremgår det, at kontrolforanstaltningerne skal være beskrevet, kunne dokumenteres og skal foretages med en passende hyppighed på områderne risikostyring, kundekendskabsprocedurer, undersøgelses-, noterings- og underretningspligt og opbevaring af oplysninger. Forretningsgangen indeholder et ganske kort afsnit benævnt Intern kontrol. Afsnittet ses alene at være en kopi af teksten fra Finanstilsynets brev af 5. december Forretningsgangen tager ikke stilling til eller beskriver, hvilke kontroller som skal udføres, hvordan disse udføres og med hvilket interval. Finanstilsynet finder således ikke, at forretningsgangen lever op til hvidvasklovens krav om kontroller, jf. 8, stk Efterlevelse af påbud fra Erhvervsstyrelsen Erhvervsstyrelsen var den 12. marts 2015 på kontrolbesøg hos virksomheden. Kontrolbesøget resulterede i, at virksomheden den 27. april 2015 fik fire påbud. Disse påbud bestod i: DK-Exchange fremover skal være opmærksom på vekslinger af større beløb jf. hvidvasklovens 6 stk. 1, herunder undersøge formålet med

13 13 sådanne vekslinger samt notere og opbevare resultatet af undersøgelsen, jf. hvidvasklovens 6 stk. 2 DK-Exchange fremover skal underrette Hvidvasksekretariatet om vekslinger, hvor nærmere undersøgelser ikke kan afkræfte mistanke om, at pengene stammer fra en økonomisk forbrydelse, jf. hvidvasklovens 7 stk. 1. DK-Exchange fremover skal legitimere sine fysiske kunder, i overensstemmelse med hvidvasklovens 12 stk. 2 og 14 stk. 1, herunder indhente oplysning om fysiske kunders adresse ved forevisning af sundhedskort eller anden lignende dokumentation. DK-Exchange senest den 26. maj 2015 skal udarbejde fyldestgørende skriftlige interne regler i overensstemmelse med hvidvasklovens 25 og indsende kopi til Erhvervsstyrelsen. Finanstilsynet anmodede DK-Exchange ved brev af 5. december 2017 og 9. marts 2018 om at redegøre for, hvordan der var rettet op på påbuddene. Virksomheden oplyste i brev af 20. marts 2018: Redegørelse for opfølgning af påbud fra Erhvervsstyrelsen - DK-Exchange ApS er fremover opmærksom på vekslinger af større beløb. Alt over 500 EURO. Samt opbevare resultaterne af undersøgelserne i form af formålet med veksling samt hvor stammer pengene fra. - DK-Exchange ApS har en standard procedure om at underrette hvidvasksekretariatet hvis der veksles for større beløb eller kunden virker mistænksomt. Se forretningsgang. - Alle vekslinger som overstiger 500 EURO kræves legitimation, sundhedskort og billede-id. Finanstilsynet finder fortsat ikke, at virksomheden på tilstrækkelig vis har redegjort for, hvordan virksomheden har efterlevet påbuddene. Således fremgår det f.eks. ikke, at der rettet op på påbuddene omkring undersøgelsespligten og underretningspligten, jf. afsnit og ovenfor, og opfyldelsen af alle påbuddene, herunder virksomhedens undersøgelsespligt og underretningspligt, ses stadig ikke afspejlet i virksomhedens forretningsgang over opgaver, som virksomheden skal iagttage.

14 Finanstilsynets vurdering af virksomhedens høringssvar Efter høringsfristens udløb har virksomheden ved [udeladt] den 30. august 2018 afgivet et høringssvar til Finanstilsynets udkast til afgørelse. Virksomheden anfører i høringssvaret, at den finder, at den har fået en meget kort frist i form af 10 dage til at rette fejlene i materialet, samt at Finanstilsynet nægtede udsættelse fristen. Finanstilsynet har oprindeligt givet virksomheden en frist på 20 dage til at komme med bemærkninger til Finanstilsynets udkast til afgørelse af 11. juli Virksomheden anmodede den 12. juli 2018 ved dennes advokat om fristudsættelse. Finanstilsynet meddelte herefter en fristudsættelse til den 6. august DK-Exchange har sammen med virksomhedens høringssvar indsendt en opdateret risikovurdering og hvidvaskforretningsgang. Finanstilsynet har ikke vurderet de øvrige medsendte dokumenter, da dokumenterne ikke ses at være relevante for nærværende afgørelse. Finanstilsynet har bl.a. følgende bemærkninger til de fremsendte opdaterede dokumenter: Risikovurdering Den opdaterede risikovurdering består af syv punkter. De syv punkter oplister, hvad der kan være risikofaktorer. Finanstilsynet kan oplyse, at virksomhedens risikovurdering i medfør af hvidvaskloven 7, stk. 1, skal være af selve virksomheden og ikke af virksomhedens kunder. DK-Exchange mangler derfor stadig en beskrivelse af virksomhedens iboende risiko, samt af hvilke af virksomhedens aktiviteter der er mest risikofyldte, og hvor risikoen for misbrug til hvidvask og terrorfinansiering vurderes at være størst. Målet med risikovurderingen skal være, at den kan fungere som et operationelt og anvendeligt værktøj for virksomheden, der skaber et overblik over og en forståelse for virksomhedens iboende risici og for hvilke tiltag, der er nødvendige for at begrænse risiciene. Det er Finanstilsynets vurdering, at risikovurderingen stadig ikke er af en sådan karakter og kvalitet, at virksomheden kan tage udgangspunkt i den, når virksomheden skal tilrettelægge sine interne kontroller og procedurer. Den opfylder derfor fortsat ikke kravene i hvidvasklovens 7, stk. 1.

15 15 Hvidvaskforretningsgang Det er Finanstilsynets overordnede vurdering, at virksomhedens opdaterede forretningsgang er gjort mere operationel. Men det er imidlertid stadig Finanstilsynets vurdering, at forretningsgangen ikke opfylder lovgivningens krav vedrørende bl.a. kundekendskabsprocedurer, PEP er, undersøgelsespligt, underretningspligt og interne kontroller. For så vidt angår kravet om kundekendskabsprocedurer fremgår det ikke tilstrækkeligt tydeligt, at forretningsforbindelsen skal overvåges, hvornår der skal indhentes supplerende informationer om kunden, samt hvilke supplerende information, som skal indhentes, jf. 11, stk. 1, nr. 5. Der er ikke oplyst, hvilke kundekendskabsprocedurer der gennemføres ved virksomhedskunder, herunder kontrol af reelle ejere, jf. hvidvasklovens 14. For så vidt angår områderne PEP er, undersøgelsespligt og interne kontroller er disse ikke medtaget i den nye forretningsgang, hvilket ikke er i overensstemmelse med hvidvasklovens krav herom, jf. 8, stk. 1. For så vidt angår virksomhedens underretningspligt fremgår det af forretningsgangen, at underretning skal ske til Finansstyrelsens Whistleblower , såfremt en kunde opfører sig mistænkeligt og ikke vil besvare virksomhedens spørgsmål. Finanstilsynet gør opmærksom på, at det følger af hvidvasklovens 26, stk. 1, at virksomhedens underretning skal ske til Statsadvokaten for Særlig Økonomisk og International Kriminalitet. Underretningens form og indhold fremgår endvidere af bekendtgørelse nr af 1. december 2017 om indsendelse af underretninger m.v. til Statsadvokaten for Særlig Økonomisk og International Kriminalitet. Finanstilsynet har i øvrigt samme betragtninger, som anført i afsnit ovenfor. Opfølgning på Erhvervsstyrelsens påbud Af de grunde anført ovenfor vedrørende mangler i forretningsgangen finder Finanstilsynet fortsat ikke, at virksomheden på tilstrækkelig vis har redegjort for, hvordan virksomheden har efterlevet påbuddene. Efterlevelsen af påbuddene ses således stadig ikke afspejlet i virksomhedens forretningsgang over opgaver, herunder virksomhedens undersøgelsespligt og underretningspligt, som virksomheden skal iagttage Sammenfatning På baggrund af ovenstående vurderer Finanstilsynet, at DK-Exchange ikke har tilstrækkelige kontrolforanstaltninger og forretningsgange, deriblandt om

16 16 forebyggelse af hvidvask og terrorfinansiering, og derfor ikke opfylder betingelserne i 41, stk. 1, nr. 4, i hvidvaskloven. Det er Finanstilsynets vurdering, at selvom der er sket tilpasning, er de fremsendte dokumenter stadig mangelfulde. Virksomhedens bemærkninger og opdaterede dokumenter har på den baggrund ikke givet anledning til at ændre Finanstilsynets udkast til afgørelse Vurdering af ledelsen i DK-Exchanges egnethed [udeladt] Samlet set vurderer Finanstilsynet, at [udeladt] viden og erfaring er begrænset, og at ansøgningsforløbet og virksomhedens manglende efterlevelse af Erhvervsstyrelsens påbud er udtryk for, [udeladt] ikke reelt har de faglige kompetencer, der er nødvendige for, at han kan varetage stillingen som direktør i DK-Exchange forsvarligt. Det er på den baggrund Finanstilsynets vurdering, at [udeladt] ikke lever op til egnethedskravet i 45, stk. 1, nr. 1, i hvidvaskloven. Virksomhedens bemærkninger og opdaterede dokumenter har på den baggrund ikke givet anledning til at ændre Finanstilsynets udkast til afgørelse. 6. Afgørelse På baggrund af ovenstående er det Finanstilsynets vurdering, at DK-Exchange ikke opfylder 41, nr. 4, i hvidvaskloven, da DK-Exchange ikke har tilstrækkelige kontrolforanstaltninger og forretningsgange, herunder om forebyggelse af hvidvask og terrorfinansiering, på alle væsentlige områder. Det bemærkes, at Finanstilsynet flere gange har givet virksomheden vejledning om, hvad en ansøgning om tilladelse til valutavekslingsvirksomhed skal indeholde. Det er endvidere Finanstilsynets vurdering, at ledelsen i DK-Exchange ikke vurderes at opfylde kravene til egnethed, jf. 41, nr. 2, jf. 45, stk. 1, nr. 1, i hvidvaskloven, som er påkrævet for at drive valutavekslingsvirksomhed. Finanstilsynet giver således afslag på virksomhedens ansøgning om tilladelse til valutavekslingsvirksomhed af 19. september Virksomheden har i overensstemmelse med 81, stk. 4, i hvidvaskloven kunnet fortsætte med at udøve valutavekslingsvirksomhed uden tilladelse, indtil Finanstilsynets afgørelse forelå, da virksomheden var registreret hos Erhvervsstyrelsen pr. 26. juni 2017, og idet virksomheden indsendte ansøgning om tilladelse til Finanstilsynet senest 31. december På baggrund af nærværende afgørelse skal virksomheden herefter den

17 september 2018 ophøre med at drive valutavekslingsvirksomhed. Virksomheden bedes skriftligt meddele Finanstilsynet, når valutavekslingsvirksomheden er ophørt, dog senest ved fristens udløb. 7. Offentliggørelse Det følger af 47, stk. 1, 1. pkt., i hvidvaskloven, at Finanstilsynet påser overholdelsen af loven og regler udstedt i medfør heraf. Det fremgår videre af 47, stk. 2, i hvidvaskloven, at Finanstilsynets bestyrelse indgår i tilsynet efter stk. 1, med den kompetence, som bestyrelsen er tillagt efter 345 i lov om finansiel virksomhed. Afgørelsen skal offentliggøres, jf. 55, stk. 1, 1. pkt., på Finanstilsynets hjemmeside med angivelse af den juridiske eller fysiske persons navn, hvor sidnævnte alene skal offentliggøres ved grove, gentagne eller systematiske overtrædelser, jf. stk. 2. Offentliggørelse skal ikke foretages, hvis offentliggørelsen vil medføre uforholdsmæssig stor skade for virksomheden, jf. stk. 5. Offentliggørelse vurderes ikke at ville medføre uforholdsmæssig stor skade for virksomheden i denne sag. Det er dog Finanstilsynets vurdering, at offentliggørelsen for så vidt angår vurderingen af egnethed og hæderlighed, jf. 41, nr. 2, jf. 45, stk. 1, nr.1, bør ske i forkortet og anonymiseret form, jf. hensynet til fysiske personer i 55, stk. 2. Beslutningen om offentliggørelse er endelig og kan således ikke indbringes for anden administrativ myndighed. 8. Klagevejledning Finanstilsynets afgørelse kan, senest 4 uger efter at afgørelsen er modtaget, indbringes for Erhvervsankenævnet pr. til adressen ean@erst.dk eller pr. post til Toldboden 2, 8800 Viborg, tlf , jf. 76 i hvidvaskloven. Det fremgår af 7 i bekendtgørelse om Erhvervsministeriets Erhvervsankenævn, at det er forbundet med et gebyr på kr. at klage til Erhvervsankenævnet. Ved klager over forhold, der ikke vedrører klagerens aktuelle eller fremtidige erhvervsforhold, er gebyret dog kr. Efter 15, stk. 4, i den nævnte bekendtgørelse kan nævnet eller formanden på dets vegne træffe bestemmelse om hel eller delvis tilbagebetaling af det indbetalte gebyr, hvis der gives klageren helt eller delvist medhold. Gebyret tilbagebetales, hvis klagen afvises.